La maggior parte dei consigli di amministrazione che si occupano di rischio possiede un registro impeccabile: matrice probabilità-impatto, semafori verdi e rossi, revisione trimestrale, firma dell’internal audit. E quasi nessuno di quei consigli saprebbe indicare, se interrogato all’improvviso, quale singolo evento potrebbe fermare l’azienda in quarantott’ore.

Non è un paradosso. È la conseguenza diretta di come viene inteso, quasi ovunque, lo Strategic Risk Management: un esercizio di conformità travestito da strategia.

Il rischio come adempimento

Il registro dei rischi nasce per essere letto da un revisore, non da chi decide. Aggiorna probabilità e impatto su scale a cinque livelli che nessuno ha mai calibrato su dati reali, produce un colore, e il colore finisce in una slide. La slide rassicura: il rischio è “mappato”, quindi è “gestito”. Ma mappare non è governare, ed è qui che la maggior parte delle organizzazioni smette di fare risk management e comincia a fare teatro del rischio.

Il sintomo più affidabile è la separazione. Il rischio informatico vive nel gruppo IT. Il rischio fisico vive nella security aziendale. Il rischio reputazionale vive nelle relazioni esterne. Ognuno produce il proprio registro, la propria scala, il proprio colore. Il giorno in cui un attacco ransomware blocca la produzione, fa saltare un fornitore critico e finisce sui giornali nello stesso pomeriggio, l’azienda scopre che i tre rischi non erano tre righe di tre matrici separate: erano lo stesso evento, visto da tre uffici che non si parlavano.

Cosa cambia quando il rischio entra nella strategia

Lo Strategic Risk Management comincia dove finisce il compliance check: nel momento in cui il rischio smette di essere un report periferico e diventa un input della decisione, con la stessa autorità del budget o del piano industriale. Non è una differenza di intensità — più audit, più policy — è una differenza di posizione: il rischio si valuta prima di aprire un nuovo mercato, non dopo l’incidente che lo chiude.

Questo richiede tre spostamenti che nessuna checklist compra da sola.

Il primo è l’analisi predittiva al posto del log degli incidenti. Un registro dei rischi guarda indietro: cosa è già successo, a noi o a chi ci somiglia. Una vera funzione di rischio strategico guarda ai segnali deboli — intelligence OSINT, vulnerabilità sistemiche, dipendenze critiche non ancora esplose — e li porta al board prima che diventino notizia, non dopo.

Il secondo è la fine dei compartimenti. Cyber, fisico, reputazionale e operativo non sono famiglie di rischio separate: sono angolazioni dello stesso asset critico. Finché restano in tre uffici con tre linguaggi, l’azienda non ha una fotografia del rischio: ha tre polaroid scattate da persone che non si sono mai parlate.

Il terzo è l’autorità decisionale. Un rischio che il board non può bloccare, rallentare o ridisegnare non è governato: è documentato. La differenza tra le due cose si vede solo nel momento peggiore, quando serve qualcuno con il mandato di fermare un’operazione in corso — non qualcuno con il compito di scriverne il verbale.

La domanda che conta

Chi si occupa di rischio per mestiere lo sa: la domanda utile non è “quanti rischi abbiamo mappato”, ma “quale singolo evento, oggi, ci fermerebbe — e chi ha l’autorità per vederlo arrivare prima che accada”. Se la risposta richiede più di una telefonata, il registro dei rischi sta facendo il suo lavoro. La strategia no.